Coinbase révèle que 69 461 utilisateurs ont été touchés par la cyberattaque de décembre 2024

Coinbase Global Inc., la plus grande bourse de cryptomonnaies aux États-Unis, a révélé qu'une violation de données survenue en décembre 2024 a compromis des informations personnelles sensibles de 69 461 utilisateurs. 

L'entreprise a divulgué l'ampleur de l'attaque dans un dépôt avec le bureau du procureur général du Maine mardi, quelques semaines après avoir confirmé que des cybercriminels exigeaient une rançon de 20 millions de dollars pour empêcher la publication des données volées sur le dark web.

La faille de sécurité aurait affecté moins de 1 % de la base d'utilisateurs mondiale de l'entreprise, mais a déclenché plusieurs enquêtes fédérales et de multiples poursuites judiciaires concernant la manière dont l'entreprise a géré l'attaque.

Brigandage et ingénierie sociale à l'origine de la violation

Selon l'entreprise et des personnes familiarisées avec l'affaire, les attaquants ont utilisé des techniques d'ingénierie sociale pour s'infiltrer dans les systèmes internes de Coinbase. Les auteurs ont ciblé le personnel travaillant pour la bourse de cryptomonnaies, plus précisément les agents du service client basés à l'extérieur des États-Unis, au lieu d'exploiter des vulnérabilités techniques.

Coinbase a allégué que les représentants, basés en Inde, ont été corrompus par des paiements en espèces en échange de l'accès aux outils internes et aux informations clients. Les données compromises comprennent les noms, adresses, nationalités, numéros de pièce d'identité délivrée par le gouvernement, dates de naissance et informations bancaires. 

Les attaquants ont également accès aux dates de création de compte, aux soldes des utilisateurs et à d'autres informations de connaissance du client (KYC) détails. Coinbase a confirmé que les mots de passe, les clés privées et les fonds des utilisateurs n'étaient pas affectés, mais les experts en cybersécurité et les utilisateurs craignent que ces informations ne soient utilisées pour du vol d'identité et de l'usurpation d'identité.

Refus de la demande de rançon et réponse réglementaire

Coinbase a signalé avoir reçu pour la première fois une demande de rançon par e-mail anonyme le 11 mai, plusieurs mois après l'exfiltration initiale des données, le 26 décembre. Les criminels ont menacé la bourse de cryptomonnaies de publier les informations volées sur le dark web à moins que l'entreprise ne paie 20 millions de dollars.

Dans sa déclaration publique, Coinbase a divulgué que les attaquants avaient déjà commencé à collecter des données utilisateur en exploitant des agents de support basés à l'étranger dans les mois précédant la note de rançon. Tout le personnel impliqué dans la violation a depuis été licencié.

Les autorités de Washington, DC, enquêtent sur la faille dans le cadre d'une enquête criminelle initiée par le Département de la Justice des États-Unis. Coinbase a maintenu sa position de pleine coopération avec toutes les autorités nationales et étrangères compétentes.

Critiques concernant le retard dans la divulgation 

Mardi, l'investisseur américain et fondateur de TechCrunch, Michael Arrington, a dénoncé le retard pris par l'entreprise pour informer le public. Sur la plateforme sociale X, Arrington a déclaré à ses abonnés que le coût humain qui pourrait suivre une telle fuite de données personnelles est « mesuré en misère ».

“Il a probablement déjà causé des dommages, » a expliqué Arrington. «Le coût humain est bien supérieur aux 400 millions de dollars environ qu'ils pensent que cela coûtera réellement à l'entreprise pour rembourser les personnes.”

Arrington a utilisé cet incident pour critiquer les réglementations KYC existantes, les qualifiant à la fois d'inefficaces et dangereuses. Il a fait valoir que ces lois, combinées à la réduction des coûts par les entreprises et à la clémence des pénalités en cas de violation de données, créent des conditions propices aux abus.

« Les gouvernements et les entreprises doivent se montrer plus fermes pour mettre fin à cela. Le coût ne peut être mesuré qu'en souffrance humaine », a-t-il conclu.

Je suis un investisseur de longue date et un défenseur de @coinbase. Une chose qui doit être dite cependant – cette faille – qui inclut les adresses domiciliaires et les soldes de compte – conduira à des décès. Cela a probablement déjà eu lieu. Le coût humain, exprimé en misère, est bien plus important que les 400 millions de $… pic.twitter.com/ruSYKAGH7x

— Michael Arrington 🏴‍☠️ (@arrington) mai 19, 2025

Coinbase estime que l'exposition financière totale liée à la violation pourrait s'échelonner entre 180 millions et 400 millions de dollars, couvrant les remboursements aux clients et les mesures de remédiation.

Mike Dudas, associé gérant chez 6MV, une firme de capital-risque web3, pense pouvoir faire partie des individus ciblés par les pirates. «C'est une violation majeure, la quantité d'informations personnelles divulguées est stupéfiante, » a déclaré Dudas aux journalistes. Il a réitéré que les conséquences pourraient s'étendre au-delà du vol d'identité, et que les pirates pourraient choisir d'intimider les investisseurs et les dirigeants du secteur des cryptomonnaies.